DORA：有哪些要求，以及如何证明您已合规

欧盟 2022/2554 · DORA 条例自 2025 年 1 月起生效第 5-44 条

简要回答

DORA（《数字运营韧性条例》）是一项欧盟条例，自 2025 年 1 月起生效，适用于欧盟的金融实体及其关键的第三方 ICT 服务提供商。它要求开展 ICT 风险管理（第 5-16 条），对重大 ICT 事件进行分类和报告（第 17-23 条），即在认定为重大事件后 4 小时内做初次通报、72 小时内提交中期报告、1 个月内提交最终报告，开展韧性测试（第 24-27 条），并管理第三方 ICT 风险（第 28-44 条）。ROOTKey 将这些要求映射到您现有的基础设施之上，并提供可验证、可审计的加密证明。

关键 ICT 服务商的处罚
1%全球日均营业额，按日计，最长 6 个月
初次通报
4 小时在认定为重大事件后
实体类型
20+受该条例涵盖的金融实体
强制适用
2025 年 1 月在整个欧盟范围内生效

适用对象与风险所在

DORA（《数字运营韧性条例》）于 2025 年 1 月生效，适用于欧盟的金融实体，包括银行、保险公司、投资公司、加密资产服务提供商，及其关键的第三方 ICT 服务提供商。处罚因实体类型而异。

实体处罚
关键的第三方 ICT 服务提供商定期罚款，最高为上一营业年度全球日均营业额的 1%，按日处以，直至合规为止，最长六个月（第 35 条第 7、8 款）
金融实体由各成员国规定的行政处罚和补救措施（第 50 条）；DORA 未规定欧盟统一金额

来源：EUR-Lex 上的条例 (EU) 2022/2554，第 35 条和第 50 条。

五分钟了解 DORA

用通俗的语言讲解该法规:适用对象、具体要求,以及数据完整性在其中的位置。

播放视频: DORA explained: who it covers, what it requires, and where data integrity fits inYouTube · 英文 · 5 分钟

我们的 YouTube 频道中的 Compliance 播放列表以同样的形式讲解 NIS2、DORA 和 GDPR。

DORA 的要求：逐条对照

DORA 要求建立有文档记录的 ICT 风险管理框架、业务连续性计划、事件分类与通报、数字运营韧性测试，以及配有不可篡改审计证据的第三方 ICT 风险管理。以下是每项要求与 ROOTKey 的对应关系。

条款要求ROOTKey状态
第 5-16 条ICT 风险管理金融实体必须建立稳健的 ICT 风险管理框架，包含有文档记录的政策、控制措施和连续性机制。不可篡改的 ICT 政策记录，每个版本都有可验证的加密哈希并保留已锚定的历史，事后篡改可被加密手段检测出来。已覆盖
第 17-23 条事件分类按既定标准和规定的通报时限，对重大 ICT 事件进行分类、监控和报告。每个事件都有经加密签名的时间戳。可验证的保管链，并可在数秒内以结构化方式导出给监管机构。报告会指明发生了什么变化、由谁、何时以及在何处。已覆盖
第 24-27 条韧性测试定期开展数字运营韧性测试的计划，包括漏洞评估和基于威胁的测试。带加密完整性验证的恢复点，可验证的证据表明，恢复系统在接受测试之前未曾被入侵。已覆盖 26 · 部分覆盖
第 28-44 条ICT 第三方风险严格管理第三方 ICT 供应商的风险，包括尽职调查、合同和审计权。设计上即内置加密访问验证：每次第三方访问都附带加密证明并被不可篡改地记录，不存在隐性信任。已认证 · 不可篡改地记录

第 19-20 条：事件通报时限

DORA 要求向主管机构通报重大 ICT 事件。ROOTKey 的加密哈希锚定可生成防篡改的事件时间线，作为监管沟通的证据基础。

时限阶段详情
T0发现与分类带不可篡改时间戳的日志和结构化导出，可验证的发现与分类时点证据，数分钟内即可备妥。
4 小时初次通报在认定为重大事件后 4 小时内向主管机构做初次通报。
72 小时中期报告初次通报后 72 小时内提交中期报告。
1 个月最终报告1 个月内提交最终报告。

ROOTKey 如何融入：建立在您的基础设施之上，而不是取而代之

ROOTKey 不会取代现有系统。它通过 API 增加一层加密验证，无需迁移，没有供应商锁定。

可审计的加密证据
每项关键操作都会生成独立证明，外部审计人员无需访问原始数据即可验证。
可验证的恢复点
备份的完整性经加密验证：日期、内容与完整性均可验证。
不可篡改的时间戳
每个安全事件都有保管链，并附有可验证的发生时间证据。

任意文件，同样的证据

PDF、图片、Word、Excel、PowerPoint、数据表和数据库：无论何种文件，ROOTKey 都会将其与已封存的原件比对，只显示被改动的部分。

部署方式
SaaS · 私有云 · On-premise
连接器
SharePoint · OneDrive · Amazon S3 · Cloudflare R2 · 数据表与数据库 · REST API 与 Webhook

集成：数日内上线，而非数月

有文档的 REST API 与 Webhook、专属的企业级支持。ROOTKey 适配您的基础设施，而不是反过来。

  1. API 集成

    提供文档完备的 REST API 与 Webhook。数日内即可投入运行，无需替换现有基础设施。

  2. 自动生成证明

    每个关键事件都会生成不可篡改、可审计的加密证明，运营投入极低。

  3. 即时报告

    实时合规看板，数秒内即可导出面向监管机构的证据。

文档了解平台

常见问题

什么是 DORA？哪些机构必须遵守？

DORA（《数字运营韧性条例》）于 2025 年 1 月生效，适用于欧盟的金融实体，包括银行、保险公司、投资公司、加密资产服务提供商，及其关键的第三方 ICT 服务提供商。

DORA 在 ICT 风险管理方面有哪些要求？

DORA 要求建立有文档记录的 ICT 风险管理框架、业务连续性计划、事件分类与通报、数字运营韧性测试，以及配有不可篡改审计证据的第三方 ICT 风险管理。

ROOTKey 如何支持 DORA 的事件通报？

DORA 要求向主管机构通报重大 ICT 事件。ROOTKey 的加密哈希锚定可生成防篡改的事件时间线，作为监管沟通的证据基础。

不遵守 DORA 会面临哪些处罚？

关键的第三方 ICT 服务提供商可能被处以定期罚款，最高为上一营业年度全球日均营业额的 1%，按日处以，最长六个月（第 35 条）。金融实体的处罚由各成员国规定（第 50 条）；DORA 未规定欧盟统一金额。